Hirudo Android truva atı, bankacılık uygulamalarını güvenlik kontrolü atlatan kopyalarla değiştiriyor

Hollandalı mobil güvenlik şirketi ThreatFabric, kurbanların telefonlarındaki gerçek bankacılık uygulamalarını, bu uygulamaların kendi güvenlik kontrollerini boşa çıkaracak şekilde değiştirilmiş kopyalarla değiştiren Hirudo adlı yeni bir Android bankacılık truva atını ortaya çıkardı. The Hacker News'in 14 Ekim 2026'da aktardığına göre operasyon, kimlik bilgisi hırsızlığını cihazın tamamen ele geçirilmesi, ekran, kamera ve SMS kaydıyla birleştiriyor ve sekiz Endonezya bankacılık uygulamasının yamalı sürümlerini kullanıyor.

Neler oldu?

Habere göre Hirudo; alışveriş, yetişkin video ve eğlence uygulaması kılığındaki damlatıcı (dropper) uygulamalarla yayılıyor. Bu uygulamalar truva atını ayrı bir paket olarak, uygulama içi güncelleme gibi göstererek yüklüyor. Kurbanlar damlatıcılara alışveriş, kısa dizi ve futbol uygulamaları için hazırlanmış sahte Google Play sayfaları üzerinden ulaşıyor; bu sayfaların Meta platformlarındaki reklamlarla tanıtıldığı bildiriliyor. Damlatıcı açıldığında bir WebView içinde gerçekçi içerik gösteriyor ve uzaktan erişim truva atının erişilebilirlik ve bildirim izinleriyle kurulu olup olmadığını kontrol ediyor; kurulu değilse sahte bir güncelleme uyarısı çıkarıyor.

The Hacker News'e göre damlatıcı, yükü kurmadan önce işlevsiz bir VPN yapılandırıyor. StreamRat'te de görülen bu yöntem, Google Play Protect'in bulut tabanlı kontrollerini engelleyebiliyor. Kimlik bilgisi hırsızlığı Endonezya, Çin, Hindistan, Meksika, Fas ve Tayland'daki kullanıcıları hedef alıyor.

Teknik detaylar

ThreatFabric'e göre Hirudo'yu farklı kılan, uygulama değiştirme yöntemi. Truva atı erişilebilirlik servisleri aracılığıyla gerçek bankacılık uygulamasını tespit ediyor, imza sertifikasını kontrol ediyor, sahte bir güncelleme uyarısı gösteriyor, kaldırma ekranını açıyor ve ardından değiştirilmiş kopyayı indiriyor. Değiştirilmiş uygulamadaki kanca (hooking) motoru, gerçek uygulamanın imza sertifikasını döndürüyor, etkin erişilebilirlik servisleri sorulduğunda boş liste veriyor ve ekranların uzaktan kaydedilebilmesi için FLAG_SECURE korumasını kaldırıyor.

Play Integrity istekleri şifresiz HTTP üzerinden operatörün sunucusuna aktarılıyor ve bu sunucu uygulamanın kabul ettiği bir sonuç döndürüyor. Anahtar doğrulama (key attestation) sertifikaları ise ThreatFabric'in kamuya sızdırılmış olarak tespit ettiği bir keybox ile yeniden imzalanıyor. Diğer yetenekler arasında sahte PIN ve banka ya da cüzdan giriş ekranları, sahte kilit ekranı katmanları, SMS hırsızlığı ve cihazın uzaktan tamamen kontrolü bulunuyor. Arka uç; cihaz kayıtlarını, kilit ekranı geçmişini ve aylık gelir ile risk puanı alanları içeren finansal profilleri tutuyor.

The Hacker News'in paylaştığı damlatıcı paket adları şunlar: com.agbbh.kjdrttt (Shopora), com.onev.vip (1V1 X), com.koishort.app (KoiShort) ve com.zoyatv.app (ZoyaTV).

Ne yapmalı?

ThreatFabric bankalara ve uygulama geliştiricilere, bir uygulamanın değiştirilebildiği durumda imza, erişilebilirlik listesi ve bütünlük sonucu gibi yerelde üretilen sinyallerin saldırganın etkisinde kabul edilmesini ve sunucu tarafında doğrulanmasını öneriyor. Güvenlik ekipleri yönetilen cihazlarda yukarıdaki paket adlarını arayabilir ve erişilebilirlik izni isteyen beklenmedik ikincil uygulamaları izleyebilir. Kullanıcılar uygulamaları yalnızca resmi mağazalardan yüklemeli, Play Store'u taklit eden sayfalara yönlendiren reklamlara karşı dikkatli olmalı, tanımadıkları uygulamalara erişilebilirlik ve bildirim izni vermemeli ve resmi mağazadan gelmeyen güncelleme uyarılarına şüpheyle yaklaşmalı.